DIVISION DE LYON 
Lyon, le 23 juin 2017

N/Réf. : CODEP-LYO-2017-024926 Monsieur le Directeur du centre nucléaire 

de production d'électricité du Tricastin CNPE du Tricastin CS 40009 26131 SAINT PAUL TROIS CHATEAUX CEDEX 

Objet : Contrôle des installations nucléaires de base Centrale nucléaire du Tricastin (INB n°87 et 88) Inspection INSSN-LYO-2017-0767 du 18 avril 2017 Thème : R.9 Autre thème, inspection suite à événement Référence à rappeler en réponse à ce courrier : INSSN-LYO-2017-0767 Référence : Code de l'environnement, notamment l'article L596-1 et suivants 
 
Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu au code de l'environnement, à l'article L596-1 et suivants, une inspection réactive a eu lieu le 18 avril 2017 sur la centrale nucléaire du Tricastin, à la suite de la déclaration par EDF, le 11 avril 2017, d'un événement significatif pour la sûreté. J'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthèse De L'Inspection

L'inspection menée le 18 avril 2017 sur la centrale nucléaire du Tricastin a porté sur les causes apparentes et les modalités de gestion par l'exploitant d'un événement significatif pour la sûreté intervenu le 7 avril 2017 et déclaré par EDF le 11 avril 2017. Cet événement est relatif à un dépassement prolongé de la limite fixée par les spécifications techniques d'exploitation (STE)1 pour la puissance maximale du réacteur 4 de la centrale nucléaire du Tricastin. Les inspecteurs se sont faits présenter la chronologie de l'événement et ont eu l'opportunité de rencontrer individuellement les personnes parties-prenantes de l'événement. Les inspecteurs ont notamment abordé les modalités d'application de la démarche retenue par l'exploitant pour la recherche des causes profondes (organisationnelles et humaines) de cet événement. L'évènement du 7 avril 2017 révèle de multiples défaillances dans le fonctionnement des organisations en charge du traitement d'une alarme importante pour la protection des intérêts mentionnés à l'article L.593-1 du code de l'environnement. Si leurs causes peuvent être, a priori, une défaillance du dispositif de régulation automatique de la puissance appelée par la turbine du réacteur et un non-respect des règles générales d'exploitation, le maintien en fonctionnement du réacteur malgré la persistance de l'alarme « puissance thermique élevée » pendant plus de six heures questionne la capacité des organisations à : 
- identifier les gestes techniques nécessaires pour ramener le réacteur dans son domaine de fonctionnement normal en cas de défaillance d'un automatisme ; 
- comprendre, voire connaître, les fondements techniques à l'origine des exigences portées dans les procédures de conduite et les règles générales d'exploitation ; 
- favoriser l'ergonomie des documents opératoires ; 
- assurer une communication opérationnelle appropriée entre les acteurs. 

Ces questionnements devront être pris en compte par EDF dans l'analyse approfondie de l'événement du 7 avril 2017. 

�

## Eléments De Compréhension

Sur les réacteurs nucléaires exploités par EDF, la puissance (dite thermique) délivrée par le cœur du réacteur est asservie à la puissance appelée par la turbine, qui dépend elle-même de la puissance appelée par le réseau électrique. Dans cette configuration, en fonction des variations de puissance demandées par le réseau électrique, le débit de vapeur dans la turbine est ajusté par des vannes d'admission associées à un système de régulation qui pilote les mouvements des grappes de commande dites de compensation de puissance dans le cœur du réacteur. 

Depuis le 5 avril 2017, des dysfonctionnements sont observés sur le système de régulation de la turbine du réacteur 4 de la centrale nucléaire du Tricastin. Ces dysfonctionnements empêchent la turbine de suivre la puissance appelée par le réseau électrique. Le 7 avril 2017 vers 10H00, EDF instrumente les armoires électriques contenant les composants électroniques de la régulation de la turbine avec un système de mesure afin de détecter l'origine du dysfonctionnement. Lorsque les opérateurs de la salle de commande constatent une nouvelle dégradation du système de régulation de turbine, ils décident de désactiver l'asservissement automatique des groupes de compensation de puissance. Vers 10H34, le système de protection de la turbine s'active automatiquement et bloque la valeur d'ouverture des vannes réglantes à une valeur élevée d'ouverture (environ 70%2). 

Dans cette situation dégradée, l'équilibre entre la puissance appelée par la turbine et la puissance produite par le réacteur ne peut être géré que par l'action manuelle de l'opérateur sur les groupes de compensation de puissance. Apparaissent alors en salle de commande les trois alarmes suivantes : 

- la première alarme3 signale le dysfonctionnement de la régulation turbine. Cette alarme a conduit les équipes de conduite à appliquer une consigne de conduite en situation d'incident appelée « I.RGL ». Cette consigne requiert notamment l'interruption de toute variation de puissance et le pilotage des mouvements de grappes de puissance par l'opérateur ; 
- la deuxième alarme4 signale la mise en service du bloqueur des vannes d'admission vapeur. Elle informe l'opérateur du dépassement du seuil calé à 100,4% de la puissance nominale (Pn). La fiche d'alarme associée requiert la fermeture des vannes d'admission vapeur à la turbine. Le seuil d'alarme à 100,4 % Pn correspond à la valeur de 102 % Pn spécifiée dans les STE et leur document justificatif ; 
- la troisième alarme repérée KIT 005 AA signale une sortie du domaine d'exploitation autorisé. 
La prise en compte de la troisième alarme liée à la puissance du réacteur n'est pas correctement appréhendée par le chef d'exploitation: celui-ci a indiqué ne pas avoir correctement porté le diagnostic d'un fonctionnement effectif du réacteur au-delà de la puissance maximale autorisée pour le cœur du réacteur. L'ingénieur de sûreté ne détecte pas cette erreur de diagnostic du chef d'exploitation. Vers 13H30, à la relève de l'équipe de conduite, l'alarme rouge KIT 005 AA est encore présente. Après plusieurs échanges avec la filière indépendante de sûreté, l'équipe de conduite informe, vers 14H45, l'astreinte PCD15. Ils concluent que le réacteur fonctionne au-delà de la puissance autorisée par les STE. Vers 15H45, une intervention de maintenance corrective est réalisée et permet de débloquer les vannes d'admission de la turbine. La puissance thermique du réacteur est abaissée et les régulations de puissance sont rétablies vers 16H15. 

�

## A. Demandes D'Actions Correctives

L'événement du 7 avril 2017 révèle un dysfonctionnement des dispositifs de régulation de la puissance appelée par la turbine, une difficulté de pilotage des groupes de régulation de puissance par les opérateurs de conduite et l'impossibilité de mettre en œuvre les actions de conduite spécifiée par les procédures de conduite en situation d'incident. Même si le système de protection du réacteur est resté disponible, plusieurs lignes de défense « matérielles » (régulation turbine, soupapes..) se sont révélées inopérantes alors qu'elles visent à ramener le réacteur dans le domaine d'exploitation autorisé. Les actions de pilotage réalisées dans les faits n'apparaissent donc pas pleinement cohérentes avec le principe de défense en profondeur et la politique de protection des intérêts mentionnée à l'article 2.3.1 de l'arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base qui vous imposent d'accorder la priorité à la sûreté nucléaire, notamment en matière de prévention des accidents. L'ASN note que les décisions prises le 7 avril 2017 ne traduisent pas cette politique de protection des intérêts dans la mesure où le réacteur a été maintenu durablement en production dans un état dégradé alors qu'une intervention de maintenance a finalement permis de corriger les dysfonctionnements matériels à l'origine de l'événement six heures après le déclenchement de l'alarme. Demande A1 : Je vous demande d'identifier, dans le cadre de l'élaboration du rapport d'événement significatif relevant des dispositions de l'article 2.6.5 de l'arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base, les éléments considérés par l'équipe de conduite du réacteur pour prendre les décisions à la suite de l'apparition de l'alarme KIT 005 AA, notamment en termes de compromis entre la sûreté et la disponibilité du réacteur. D'une manière générale, sur les centrales nucléaires exploitées par EDF la sûreté nucléaire en exploitation repose sur deux filières : 
- Une filière opérationnelle, qui englobe tous les métiers d'exploitation, et dont le rôle principal réside dans le fait de conduire et maintenir l'installation dans son domaine autorisé. Au sein de la filière opérationnelle, le chef d'exploitation est responsable en temps réel de la sûreté ; 
- Une filière indépendante de sûreté dont le rôle est d'assurer la mission de vérification des activités en toute indépendance de la filière opérationnelle. Au sein de la filière indépendante de sûreté, l'ingénieur de sûreté d'astreinte assure une évaluation quotidienne et indépendante de l'état de la sûreté des installations. 

Dans le cas de l'événement du 7 avril 2017, le chef d'exploitation et l'ingénieur de sûreté ont tous deux réalisé de manière indépendante un diagnostic de l'état de l'installation : dans les deux cas la conclusion de leur analyse était identique, mais erronée quant à la conformité de l'installation par rapport aux spécifications techniques d'exploitation. Sur un plan national, la question de la place de la filière indépendante de sûreté sur les centrales nucléaires exploitées par EDF a fait l'objet d'un échange de courriers entre l'ASN et EDF qui a abouti à la rédaction de la note technique relative au « Bilan du fonctionnement de la filière indépendante de sûreté, en réponse au courrier ASN CODEP-DCN-2014-009135 » référencée 0455014028008 Indice 1. Demande A2 : en liaison avec le groupe performance de la sûreté nucléaire (GPSN), je vous demande d'analyser les raisons qui ont pu conduire le chef d'exploitation et l'ingénieur de sûreté à mener des analyses séparées qui ont abouti au même diagnostic et qui s'avérait être erroné. Sur la base de cette analyse, je vous demande de déployer les actions que vous aurez identifiées. L'alarme repérée KIT 005 AA est une alarme rouge. La consigne particulière de conduite relative au traitement des alarmes en salle de commande (S.KSC.1) indique que ce type d'alarme « nécessite une action correctrice immédiate de l'opérateur ». Le délai de réaction est fixé à 5 minutes par cette note. Les inspecteurs ont relevé que le chef d'exploitation avait pris en compte cette alarme dès son apparition et s'était fixé comme priorité de baisser la puissance du réacteur nucléaire. Dans une configuration de blocage des soupapes d'admission, le chef d'exploitation a indiqué ne pas disposer des moyens de pilotage habituels pour réaliser cette baisse de puissance. Pour traiter cet aléa technique, il a organisé l'équipe de conduite du réacteur 4 en mode « Etude et résolution de problème » et disposait de l'aide de techniciens du service AEI. Cependant au final, deux tentatives de déblocage et environ six heures auront été nécessaires pour permettre de retrouver un fonctionnement standard du réacteur. Outre la question du diagnostic d'un fonctionnement du réacteur au-delà de la puissance autorisée par les spécifications techniques d'exploitation, les opérateurs présents ainsi que le chef d'exploitation auraient dû être alertés par la présence d'une alarme rouge en salle de commande pendant tout le temps qu'a duré l'aléa. Demande A3 : à la lumière de l'événement vécu le 7 avril 2017, je vous demande de réinterroger les méthodes de management d'une équipe de conduite lorsqu'une difficulté technique émerge et qu'elle persiste. Il est ressorti de l'inspection du 18 avril 2017 que les documents opérationnels consultés comportent les lacunes suivantes : 
- La fiche d'alarme associée à l'alarme repérée KIT 005 AA n'expose pas de manière claire que lorsque cette alarme apparaît, la limite de fonctionnement fixée par les spécifications techniques d'exploitation à 102% de la puissance autorisée par les spécifications techniques d'exploitation est déjà dépassée ; 
- Les spécifications techniques d'exploitation fixent le seuil de puissance maximale à 102% de la puissance autorisée par les spécifications techniques d'exploitation, sans évoquer la question des incertitudes, alors que les documents opératoires liés aux alarmes sont associés à la valeur de 100,4% de la puissance autorisée par les spécifications techniques d'exploitation, sans évoquer non plus la prise en compte d'incertitudes. 

Le chef d'exploitation a indiqué avoir comparé la valeur délivrée par le système d'exploitation de la centrale nucléaire qui délivre des valeurs sans incertitudes avec la valeur d'apparition de l'alarme repérée KIT 005 AA (valeur calée à 100,4% de la puissance autorisée par les spécifications techniques d'exploitation sans prise en compte des incertitudes) ainsi qu'à la valeur de 102% de la puissance autorisée par les spécifications techniques d'exploitation qui s'entend incertitudes comprises. L'ASN constate par conséquent que les documents opératoires mis à leur disposition, et notamment la fiche d'alarme associée à l'alarme repérée KIT 005 AA, ne sont pas ergonomiques. Demande A4 : je vous demande de modifier la fiche d'alarme associée à l'alarme KIT 005 AA pour rendre explicite le fait que l'apparition de cette alarme signifie que le réacteur fonctionne au-delà de la puissance autorisée par les spécifications techniques d'exploitation. Plus généralement, le fonctionnement d'un réacteur nucléaire à eau sous pression du parc d'EDF doit se faire en respectant les spécifications techniques d'exploitation. Ces spécifications définissent plusieurs limites de fonctionnements portant sur la pression, la température, la puissance, etc. Dans certains cas, EDF a choisi de faire piloter les réacteurs par les équipes de conduite en prenant des marges par rapport aux limites fixées par les spécifications techniques d'exploitation, dans d'autres cas, EDF a fait le choix de piloter sur les limites, sans marge. L'ASN relève que par le passé EDF a déclaré d'autres événements significatifs pour la sûreté qui portaient sur une méconnaissance des marges et des incertitudes par les équipes de conduite. Demande A5 : je vous demande de mener d'ici un an une revue exhaustive des fiches d'alarmes. Vous veillerez notamment à ce qu'y figurent systématiquement la présence (ou non) de marges par rapport aux limites fixées par les spécifications techniques d'exploitation, ainsi que la prise en compte (ou non) des incertitudes de mesure. En marge de l'inspection proprement dite, les inspecteurs ont relevé que votre consigne particulière de conduite S.KSC.1 relative au traitement des alarmes en salle de commande (référencée D5120/CDT/CO/031011 indice C, non datée) n'était pas à jour. En effet, elle ne référence pas (et donc ne décline pas formellement) la note technique nationale de l'unité d'ingénierie d'exploitation d'EDF relative à la doctrine d'exploitation des alarmes en salle de commande pour les centrales nucléaires des paliers 900 MWe et 1300 MWe (référence D4550.31-10/2591 indice 2 du 9 février 2016). Par ailleurs, l'indice c de cette consigne S.KSC.1 n'étant pas daté, il n'est pas possible de vérifier si la périodicité de révision de la note fixée à 5 ans a été respectée. Demande A6 : je vous demande de réviser et mettre à jour la consigne S.KSC.1. Les interviews des différents acteurs ont mis en évidence qu'ils avaient tous en tête l'existence d'un courrier émis par GPSN pour définir une doctrine à propos de l'alarme de surpuissance repérée KIT 005 AA. Or les documents et outils utilisés par le chef d'exploitation et l'ingénieur de sûreté ne leur ont pas permis de retrouver rapidement ce courrier (référencé D4550140227305 du 28 juillet 2014). Plus globalement, les inspecteurs ont relevé que les fiches d'interprétation des spécifications techniques d'exploitation ne sont pas référencées dans les spécifications techniques d'exploitation utilisées dans la salle de commande des réacteurs de la centrale nucléaires du Tricastin. Ces fiches d'interprétation sont rédigées par le service sûreté qualité pour expliciter certaines exigences fixées par les spécifications techniques d'exploitation, notamment à la lumière de questions récurrentes que peuvent se poser les opérateurs ou sur la base du retour d'expérience. Sur la centrale nucléaire du Tricastin, ces fiches d'interprétation sont rangées dans un classeur séparé, à la différence de ce qui est fait sur la centrale nucléaire de Saint-Alban Saint-Maurice, où les spécifications techniques d'exploitation (STE) utilisées en salle de commande signalent l'existence de « fiches de précision STE » directement dans le tableau des conduites à tenir ou dans les prescriptions permanentes. Demande A7 : je vous demande de veiller à ce que la doctrine diffusée et produite par GPSN sur la question des STE soit mieux diffusée pour les chefs d'exploitation et pour les ingénieurs de sûreté de votre établissement. Demande A8 : plus globalement, je vous demande de revoir l'architecture documentaire qui est en place dans les salles de commande pour vous assurer que l'existence des documents qui capitalisent le retour d'expérience lié à la mise en œuvre des STE soit connue des opérateurs des chefs d'exploitation et des ingénieurs de sûreté de votre établissement. Outre la question de l'ergonomie documentaire exposée ci-dessus, les acteurs exerçant les fonctions clés de chargé d'exploitation et d'ingénieur de sûreté n'étaient pas correctement formés à la question des limites de fonctionnement associées à la puissance du réacteur. Demande A9 : je vous demande de faire procéder à un recyclage de tous les agents de votre établissement appelés à exercer les fonctions de chef d'exploitation ou d'ingénieur de sûreté sur la question des limites de fonctionnement fixées par les spécifications techniques d'exploitation. Vous me rendrez compte de votre action dans ce domaine et vous me transmettrez une copie du contenu de cette formation. Le chef d'exploitation a basculé le management de son équipe en mode « Etude et résolution de problème » pour gérer l'aléa technique. Lors de l'inspection, le chef d'exploitation a indiqué s'être fixé les priorités suivantes dans le pilotage du réacteur : 
- Maintenir une marge d'antiréactivité suffisante dans la position des grappes de commande ; - Surveiller la puissance du réacteur pour ne pas placer le réacteur en situation de surpuissance 
(représentation erronée de l'état du réacteur qui était déjà en situation de surpuissance) ; 
- Baisser la puissance thermique du réacteur nucléaire. 

Le chef d'exploitation a indiqué ne pas avoir trouvé de solution concrète pour réaliser sa troisième priorité, mais il n'a pas partagé ses difficultés avec d'autres personnes que celles présentes en salle de commande, que ce soit l'astreinte PCD1 ou des astreintes techniques (ingénieurs de conduite ou astreinte « Equipe locale de crise n°1 »). Demande A10 : je vous demande de réinterroger la capacité de votre organisation à favoriser le recours à de tierces personnes (astreintes techniques, PCD1) lorsque les chefs d'exploitation rencontrent des situations techniques complexes. 

�

## B. Compléments D'Information

Depuis le début des années 2000, la totalité des centrales nucléaires exploitées par EDF est équipée d'un simulateur pleine échelle. Les inspections menées par l'ASN dans le domaine de la compétence et de la formation des équipes met en évidence que ces simulateurs sont essentiellement utilisés pour entrainer les équipes de conduite à deux types de situation : 
- Des incidents ou accidents qui nécessitent un pilotage selon des consignes dédiées de l'approche par état. Les formations sont orientées pour entrainer les équipes à des incidents redoutés mais rapidement maîtrisables s'ils sont bien conduits (e.g. le cas d'une rupture de tube de générateur de vapeur) ou bien des situations accidentelles complexes, dont la probabilité d'occurrence est a priori faible mais qui pourraient conduire à des rejets importants (e.g. scénarii d'accidents utilisés pour les exercices du plan particulier d'intervention) ; 
- Des transitoires d'exploitation rares tels que des redémarrages ou des mises à l'arrêt, ou des passages à la plage de travail basse du circuit de refroidissement à l'arrêt. 

L'expérience de l'ASN met cependant en évidence que les équipes de conduite des centrales nucléaires sont parfois confrontées à des situations techniques compliquées qui ne correspondent ni à une situation incidentelle ni à un transitoire d'exploitation. Ainsi, le 18 août 2012, les équipes de conduite du réacteur 3 de la centrale nucléaire du Tricastin ont déjà dû faire face à un pompage d'un système de régulation du circuit de contrôle volumétrique et chimique qui les a déstabilisées et les a conduit à faire une erreur de diagnostic de l'état de l'installation pour finalement déclencher l'injection de sécurité. 

Il ressort de l'inspection réactive menée à l'époque par l'ASN6 que les équipes de conduite concernées étaient pourtant très expérimentées. Demande B1 : je vous demande de m'indiquer quels efforts de formation pourraient être développés sur simulateur afin d'entraîner les équipes de conduite à des situations de fonctionnement normal où des régulations de système compliquent la représentation de l'état de sûreté des réacteurs. 

 
6 Lettre de suite de l'ASN référencée CODEP-LYO-2012-048179 du 7 septembre 2012, consultable sur le site internet de l'ASN : www.asn.fr A la lumière des éléments relevés en inspection, il semble que pour caler le point de fonctionnement à la puissance maximale disponible (PMD) d'un réacteur de votre établissement, les opérateurs ont pris l'habitude de régler le point de consigne de la régulation de la turbine au plus près de la limite maximale, quitte à faire apparaître l'alarme repérée KIT 005 AA avant de baisser légèrement la puissance pour la faire disparaître. Demande B2 : je vous demande de m'infirmer ou de me confirmer ce point en m'indiquant notamment si les procédures écrites de redémarrage et de réglage de la puissance primaire prévoient explicitement de régler le point de consigne de la régulation de la turbine en faisant apparaître l'alarme repérée KIT 005 AA avant de baisser légèrement la puissance pour la faire disparaître : 
- si c'est le cas, je vous demande de vous prononcer sur le fait d'utiliser une alarme rouge dans une action de pilotage ; 
- si ce n'est pas le cas, je vous demande de m'indiquer si cela correspond à des pratiques de conduite mises en œuvre de manière courante sur vos installations. 

Dans les deux cas de figure, je vous demande d'analyser le caractère déclaratif au titre du guide « relatif aux modalités de déclaration et à la codification des critères relatifs aux événements significatifs impliquant la sûreté, la radioprotection ou l'environnement applicable aux installations nucléaires de base et au transport de matières radioactives » de l'ASN des modalités de réglage de la puissance primaire au plus près de la limite maximale autorisée par les spécifications techniques d'exploitation. Les spécifications techniques d'exploitation applicables au réacteur 4 de la centrale nucléaire du Tricastin prévoient que « En fonctionnement continu la puissance thermique du cœur doit rester inférieure à 102 % Pn ». Le document justificatif des spécifications techniques d'exploitation (référence : D453414015125 indice 0) indique que : « Pour respecter cette limite, les tranches disposent d'une alarme rouge qui apparaît quand la puissance thermique calculée par bilan enthalpique primaire franchit le seuil de 100,4 % Pn. Le fonctionnement à PMD correspond donc à un fonctionnement à une puissance thermique d'exploitation centrée sur une cible à 100 % Pn et inférieur à 100,4% Pn. L'alarme rouge de surpuissance calée à 100,4% Pn permet de surveiller une dérive éventuelle du niveau de puissance ; elle permet de garantir le non dépassement de 102% Pn, incertitudes comprises. » Dans ces conditions, l'apparition de l'alarme rouge repérée KIT 005 AA révèle stricto sensu une sortie du domaine autorisé par les spécifications techniques d'exploitation, et correspond au cas de figure évoqué au paragraphe C3 du courrier de l'ASN référencé DEP-DCN-0137-2009 du 8 avril 2009. Demande B3 : en liaison avec le service GPSN, je vous demande de me faire part de votre analyse sur la déclaration d'évènement significatif lors de l'apparition de l'alarme repérée KIT 005 AA, et d'en tirer les conséquences d'un point de vue déclaratif pour les apparitions de ces alarmes qui ont pu se produire par le passé sur les réacteurs de votre établissement. 

## C. Observations

Sans objet. 

� �
Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois, sauf mention contraire. Pour les engagements que vous seriez amenés à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

La cheffe de la division de Lyon de l'ASN, 
signé par Marie Thomines 
�